新手如何安装网站安全功能？从SSL到WAF配置清单

核心要点（TL;DR）

SSL证书是网站安全的基础，必须安装并强制HTTPS跳转。
WAF防火墙能拦截SQL注入、XSS等常见攻击，建议开启。
配置完成后使用在线工具扫描，确保无混合内容漏洞。
定期更新WAF规则和SSL证书，保持防护有效性。

刚上线的网站，还没配置任何安全措施？别慌，90%的新手都这样。但黑客可不会等你准备好。本文手把手带你完成从SSL证书到WAF防火墙的配置，给出具体命令和检查清单，让你在1小时内显著提升网站安全等级。

为什么你的网站需要SSL和WAF？

没有SSL，数据在传输中就是明文，容易被窃听；没有WAF，你的网站就像没锁的门，SQL注入、XSS等攻击可长驱直入。SSL解决传输加密和信任问题，WAF解决应用层攻击拦截。两者缺一不可。

第一步：安装SSL证书，启用HTTPS

1. 获取免费SSL证书（Let's Encrypt）

以Nginx为例，使用Certbot自动获取并安装：

sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com

Certbot会自动修改Nginx配置，将HTTP重定向到HTTPS。完成后，用sudo certbot renew --dry-run测试自动续期。

2. 手动配置Nginx HTTPS

如果已有证书，在Nginx配置中添加：

server {
    listen 443 ssl;
    server_name yourdomain.com;
    ssl_certificate /path/to/fullchain.pem;
    ssl_certificate_key /path/to/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    # 其他配置...
}
server {
    listen 80;
    server_name yourdomain.com;
    return 301 https://$host$request_uri;
}

重启Nginx：sudo nginx -t && sudo systemctl reload nginx。

3. 检查SSL配置

使用在线工具如SSL Labs测试，确保评级A以上。同时检查混合内容问题：浏览器控制台会提示，需将页面内HTTP资源改为HTTPS。

第二步：部署WAF防火墙

1. 选择WAF类型

类型	优点	缺点	适用场景
云WAF	免运维，弹性防护	依赖DNS解析，可能有延迟	中小网站，无专业运维
软件WAF	自主控制，成本低	需自行维护规则	有运维能力的团队
硬件WAF	高性能，低延迟	价格昂贵	大型企业

新手推荐云WAF，如Cloudflare免费版或AegisX的云WAF服务，快速接入。

2. 配置WAF规则

以ModSecurity为例，安装并启用OWASP核心规则集：

sudo apt install libapache2-mod-security2
sudo cp /etc/modsecurity/modsecurity.conf-recommended /etc/modsecurity/modsecurity.conf
sudo sed -i 's/SecRuleEngine DetectionOnly/SecRuleEngine On/' /etc/modsecurity/modsecurity.conf
# 下载OWASP规则
 git clone https://github.com/coreruleset/coreruleset.git /etc/modsecurity/crs
 sudo cp /etc/modsecurity/crs/crs-setup.conf.example /etc/modsecurity/crs/crs-setup.conf
 # 在Apache配置中引入
 echo 'Include /etc/modsecurity/crs/crs-setup.conf' >> /etc/apache2/mods-enabled/security2.conf
 echo 'Include /etc/modsecurity/crs/rules/*.conf' >> /etc/apache2/mods-enabled/security2.conf
 sudo systemctl restart apache2

对于Nginx，可使用ModSecurity-nginx模块，步骤类似。

3. 测试WAF效果

尝试访问https://yourdomain.com/?id=1' OR '1'='1，应返回403禁止访问。查看日志/var/log/modsec_audit.log确认拦截记录。

第三步：安全配置检查清单

SSL证书有效且强制HTTPS跳转
WAF已启用并加载最新规则
服务器防火墙仅开放必要端口（80,443）
定期更新系统和软件补丁
备份网站数据和配置
使用强密码和双因素认证

建议每月执行一次安全检查，使用工具如nmap扫描开放端口，nikto扫描Web漏洞。

进阶：使用AegisX增强防护

AegisX提供一体化的网站安全防护，包括SSL证书管理、WAF、DDoS防护和Bot管理。其云WAF支持智能规则学习，能自动适应业务流量，减少误报。对于新手，AegisX的控制面板可一键开启防护，无需复杂配置。

行动起来，立即加固你的网站

安全不是一次性的任务，而是持续的过程。按照本文清单，今天就去安装SSL和WAF。遇到问题？欢迎在评论区交流。记住，每一点安全投入，都是对用户和业务的负责。

常见问题（FAQ）

新手应该选择哪种SSL证书？

对于个人站长或小型网站，免费DV证书（如Let's Encrypt）完全足够，它提供相同的加密强度。企业级网站可考虑OV或EV证书，以显示组织信息。关键是确保证书由受信任的CA签发，并正确安装。

WAF会不会影响网站访问速度？

正确配置的WAF对速度影响很小，通常增加几毫秒延迟。云WAF通过CDN节点分发，甚至可能加速静态资源。如果发现明显变慢，可调整规则集，只开启必要的防护，或选择性能优化的WAF服务。

安装SSL后网站打不开怎么办？

首先检查443端口是否开放，防火墙是否允许HTTPS流量。然后确认证书链完整，私钥匹配。查看Web服务器错误日志，常见问题包括证书路径错误、权限不足或配置语法错误。逐步排查即可解决。

如何测试WAF是否生效？

可以尝试模拟攻击，如发送包含SQL注入字符的请求，观察是否被拦截。也可使用在线WAF测试工具，或查看WAF日志中的拦截记录。注意不要对生产环境进行破坏性测试。

免费WAF和付费WAF有什么区别？

免费WAF通常提供基础规则，适合个人网站；付费WAF有更全面的规则库、DDoS防护、专家支持和定制策略。根据业务规模和安全需求选择，初期可从免费开始，随业务增长升级。

资讯中心